Мы уже начинали говорить о персональных данных, их сборе и обработке. Но, об этом можно говорить бесконечно и мы продолжим. В прошлый раз мы говорили об изменениях в законе, но не учли самого главного - САМ ЗАКОН ВЫ НЕ ЧИТАЛИ!.. И, судя по обратной связи, информация требует более детальной проработки.
Поэтому мы несколько раз перечитали все законы и дополнения к ним. Сделали из него эдакую выжимку. Четко по пунктам расписав основные его нормы и требования.
1. Обработка персональных данных должна отвечать целям сбора персональных данных;
Это значит, что Субъект обработки ПДн (покупатель, клиент, работник и т.д.) должен быть уведомлен о целях обработки. Поэтому цели должны быть отражены в форме письменного согласия на обработку персональных данных.
2. Не должны объединяться базы данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
Тут все очевидно: не должны быть объединены базы персональных данных, содержащие, например, фискальную информацию о работниках компании, и базы персональных данных клиентов компании.
3. Обрабатываемый объем персональных данных не должен быть избыточным по отношению к целям их обработки;
Получается, что интернет-магазин продающий носки может обрабатывать персональные данные покупателей, которые могут содержать информацию о предпочтениях, о маркетинговой активности, но персональные данные покупателя, говорящие о наличии у него, скажем, заболеваний, будут явно избыточными.
4. При обработке персональных данных должны быть обеспечены их точность, достаточность и актуальность по отношению к целям обработки;
Это необходимо в первую очередь для качественного и своевременного выполнения какого-либо юридически значимого действия, при котором используются персональные данные. Например, для непосредственной покупки товара.
5. Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных.
Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей. То есть если интернет-магазин закрывается, то базу персональных данных его покупателей нельзя оставлять «врагам», необходимо ее хотябы обезличить.
3. Использование
Помните! Действия, совершаемые с собранными персональными данными должны осуществляться строго согласно целям, для которых они были предоставлены.
То есть, если данные собраны при покупке носков в интернет магазине «А», то и использоваться они должны только для продаж магазина «А», которому эти данные оставили. Если эти данные использовать для продажи квартир на другом ресурсе, то это уже будет считаться неправомерным использованием персональных данных.
4. Блокирование
Если субъект обнаружил что его данные используют неправомерно и обратился к вам с претензией (или его представитель/ соответствующий орган), то вы обязаны блокировать его персональные данные и проверить правомерность их использования. Если данные эти обрабатывает подрядчик, то вы обязаны сделать все для блокировки и проверки данных обратившегося.
Все тоже самое вы обязаны провернуть в том случае, если субъект обнаружил неточности в своих данных.
Блокировка должна осуществляться с момента такого обращения или получения запроса на время проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
5. Уничтожение
А вот уничтожить данные или обеспечить прекращение использования вы обязаны в случае отзыва согласия. Также, если сохранение персональных данных более не требуется для целей обработки персональных данных.
Произвести все это необходимо в срок не более тридцати дней с даты поступления отзыва, если иное не предусмотрено договором.
Напомним, что нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах влечет предупреждение или наложение административного штрафа:
Предоставление удаленного доступа к базам данных, находящихся на территории РФ, с территории другого государства ФЗ-242 не запрещается.
На этом все, коллеги. Да прибудет с вами милость Эру!
Термины, нюансы и частые заблуждения - в материале от экспертов службы безопасности компании «Онланта » (входит в группу компаний ЛАНИТ).
В закладки
Разбираемся в юридической терминологии и тех самых нюансах, из-за которых можно оказаться в суде.
Главный закон, который регулирует отношения, связанные с обработкой персональных данных - это Федеральный закон от 27 июля 2006 г. N 152-ФЗ «О персональных данных».
Первый термин, который требуется понимать, - персональные данные.
Это любая информация, с помощью которой можно идентифицировать человека: например, ФИО, дата рождения, образование, доходы и даже семейное положение. Вы спросите: «А что, моя фамилия, напечатанная на визитке, - это тоже персональные данные?»
Ответ: «Да». По закону неважно, напечатана ли на визитке только ваша фамилия или в сочетании, например, с номером телефона и адресом. И первое, и второе, и третье - персональные данные. Правда, за хранение визитки или номера телефона девушки в телефонной книге отвечать по закону не придётся, но об этом ниже.
Идём дальше. В СМИ постоянно пишут «хранение персональных данных». Правильно говорить не хранение, а обработка персональных данных. В чём разница? Хранение - это лишь часть того, что называется обработкой персональных данных. Любые действия, которые вы совершаете с персональными данными (собираете, накапливаете, храните, передаёте, изменяете), в законе обозначены как «обработка персональных данных».
Важно понимать, что в законодательстве выделяется два субъекта персональных данных: оператор и обработчик. Оператор осуществляет обработку персональных данных, а также определяет цели их обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработчик - это тот, кто совершает какие-либо действия с персональными данными: сбор, хранение, систематизацию, накопление, уточнение, обновление, изменение, удаление, обезличивание и так далее.
На самом деле, обработчик - это не только конечный пользователь, которому персональные данные нужны для работы, но и любой промежуточный пользователь, через руки которого прошли эти персональные данные. Показываем на практике.
У интернет-магазина есть база данных клиентов, которая размещена в «облаке» сторонней компании. С этой базой работает маркетинговое агентство. Вопрос: сколько операторов персональных данных мы имеем?
Правильный ответ - одного. Это интернет-магазин, который задаёт цели обработки персональных данных. Второй вопрос: сколько обработчиков персональных данных мы имеем? Правильный ответ - два.
Персональные данные обрабатываются во множестве различных учреждений: например, в банках, школах, поликлиниках, визовых центрах. Не говоря уже про интернет-страницы, где мы регистрируемся, оставляя свои адреса электронной почты и телефонные номера. Но как и где именно?
В законе есть такой малопонятный термин, как «информационная система персональных данных». Если попытаться объяснить простыми словами - это целый комплекс, состоящий из серверов баз данных, технических средств, обеспечивающих их обработку, и информационных технологий. В соответствии с законодательством любую информационную систему персональных данных необходимо защищать.
Методы защиты информации бывают разными.
Одно из средств защиты информации - это обезличивание персональных данных. Что это такое? В визовом центре каждому подающему на визу человеку присваивается отдельный идентификационный номер. Сам по себе номер не относится к персональным данным, так как обезличивает человека: по нему нельзя определить лицо, подавшего документы на визу.
Итак, с терминологией разобрались. Теперь всем представителям бизнеса, в особенности индивидуальным предпринимателям, у которых может быть всего несколько сотрудников в штате, стоит честно ответить на вопрос: «Обрабатываю ли я персональные данные?»
Да , если вы владелец сайта с посещаемостью пять человек в неделю, но на нём есть форма обратной связи с полями «ФИО, адрес электронной почты, телефон». Информация о том, для каких целей вы собираете персональные данные, как вы их используете, должна быть представлена на вашем сайте.
Да , если вы обрабатываете персональные данные своих сотрудников или сторонних специалистов, нанятых для выполнения каких-то работ.
Да , если вы работаете с частными клиентами и вам требуются их паспортные данные для заключения договоров - это касается турагентств, фитнес-центров, разного рода сервисных компаний, интернет-магазинов и прочего.
И снова да , если вы бюджетная организация, политическая партия или детский сад. Последние обладают не только информацией о ребёнке, но и о его родителях, включая место работы и должность. Не говоря уже о медицинских учреждениях - там море личной деликатной информации, которую необходимо надёжно хранить.
Однако если вы используете данные для личной коммуникации без коммерческой выгоды, то требования законодательства на вас не распространяются и ни о какой уголовной ответственности речи идти не может.
Например, использование вами контактов, напечатанных на визитке, которую вы получили от коллеги, или номеров телефонов в записной книжке на смартфоне, информации в социальных сетях не накладывает на вас ответственность перед законом.
Поздравляем, вы - гордый обладатель звания «оператор персональных данных». Самое важное теперь - понять, какие именно персональные данные вы обрабатываете. Потому что именно от категории персональных данных зависит, как данные защищать и каким требованиям нужно соответствовать. Категории подробно описаны в ФЗ-152 и постановлении правительства от 1 ноября 2012 г. N 1119.
Общедоступные персональные данные: данные из открытых ресурсов, которые публикуются субъектом персональных данных или с его одобрения. Общедоступные данные - это данные из СМИ или интернета.
Пример: информация, выложенная в открытый доступ в социальных сетях или на сайте компаний. Номер телефона и семейный статус, опубликованный в открытом доступе в Facebook. Имя сотрудника и занимаемая им должность на сайте работодателя.
Биометрические персональные данные: к этой категории причисляются все данные по физиологическим и биологическим особенностям людей.
Пример: вес, рост, цвет глаз или волос, длина волос, группа крови, фотография.
Персональные данные специальной категории: сюда относится информация о принадлежности к какой-либо расе и нации, политические взгляды, религиозные и философские убеждения, состояние здоровья или интимной жизни.
Пример: врачебный диагноз (информация о том, чем вы болели, когда, какой врач вас лечил).
Персональные данные иных видов - сюда входят персональные данные, не вошедшие в указанные выше категории.
Пример: корпоративная информация. Карточки учёта сотрудников, в которых содержатся сведения, с которыми работает HR и бухгалтерия: зарплата, периоды отпуска, даты приёма на работу.
После того, как вы определились с категорией персональных данных, вам надо понять точное количество данных, которое вы обрабатываете: до 100 тысяч или свыше 100 тысяч.
Угрозы №1. «Дыры» и уязвимости в операционной системе. Пример: уязвимости, которые используют хакеры для проникновения в операционную систему с целью хищения информации.
Угрозы №2. «Дыры» и уязвимости в прикладном ПО, то есть в софте, который используется в вашей повседневной работе. Пример: Word, Excel.
Угрозы №3. Все другие угрозы, не указанные в первых двух типах. В первую очередь, человеческий фактор. Сотрудник может оставить открытым документ на незаблокированном компьютере, отправить документ на печать на чужой принтер или по электронной почте.
Первый и самый высокий уровень защиты чаще всего применяется для обработки персональных данных в государственных органах и медицинских учреждениях. Четвёртый уровень защиты - самый простой, чтобы его обеспечить, иногда достаточно выполнить организационно распорядительные меры, в основном он касается защиты общедоступных данных.
Определить уровень защиты можно по этой таблице .
Больница обрабатывает персональные данные своих пациентов - это персональные данные специальной категории. Также она обрабатывает персональные данные сотрудников - это персональные данные иной категории. Скорее всего, у больницы две базы данных. Если сложить обе базы, получится общее количество персональных данных, которые крутятся в информационной системе этой больницы.
Например, всего их - до 100 тысяч. Далее смотрим, как обрабатываются данные: автоматизировано (в компьютере) или не автоматизировано (в ручной картотеке). Если всё автоматизировано, смотрим, какое ПО использует больница, какие у него есть уязвимости.
Исходя из этого выявляются угрозы и их уровень. Складываем все факторы и получаем класс защиты второго уровня. Смотрим, какие требования в законе прописаны ко второму уровню защищённости. На базе этих требований необходимо будет построить защиту информационной системы для соответствия требованиям ФЗ.
Зачем вообще так беспокоиться о защите персональных данных? Персональные данные - это дорогой товар на чёрном рынке. За профиль, содержащий полные данные медицинской карты человека, мошенникам готовы платить внушительные суммы. Отдельный рынок - продажа деталей банковских карт; аккаунты в социальных сетях.
Последствия утечки персональных данных бывают разными. Данные могут оказаться в открытом доступе в интернете: например, в сети легко можно найти украденные базы данных с адресами и телефонами клиентов компаний. Зная имя и фамилию, любой может узнать домашний адрес человека, залезть в соцсети, посмотреть профиль или просто написать SMS на мобильный телефон.
Персональные данные могут попасть в базу назойливой рассылки какой-нибудь коммерческой организации, тогда их владельца начнут одолевать непрошенными предложениями услуг. Также ими могут воспользоваться интернет-мошенники для онлайн-казино или чтобы открыть электронный кошелёк.
В худших случаях злоумышленник может выдать себя за другого человека и взять кредит на чужое имя. К числу наиболее тяжёлых последствий утечек персональных данных относятся: противоправные действия с недвижимостью, кража денег с банковских карт, шантаж родственников и регистрация фирмы.
Вы поняли важность вопроса и готовы нести ответственность? Правильно. Потому что ответственность за сохранность персональных данных полностью лежит на операторе.
Это значит, что оператор должен позаботиться о том, чтобы информация не утекла в публичный доступ или не попала в руки третьих лиц, которые не имеют на неё никаких прав. Для этого требуется постоянный мониторинг и предотвращение угроз безопасности данных, контроль за уровнем сохранности информации и её восстановление в случае утраты.
В нашей стране Роскомнадзор контролирует соблюдение законодательства в области обработки персональных данных. Этот орган реагирует на жалобы, регулирует отношения между субъектами и операторами.
За технические требования по защите информации отвечает ФСТЭК и ФСБ: они вырабатывают требования и контролируют их исполнение.
А теперь пришло время изучить таблицы с требованиями по технической защите персональных данных. Подробности можно найти в приказе Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 г. N 21.
Но начните хотя бы с этого:
Многие владельцы сайтов думают, что если посетитель нажал кнопку «Я согласен на обработку персональных данных», юридических проблем не будет, а обработка данных автоматически попадает в легальное поле. Это не так.
С юридической точки зрения есть только два способа подтвердить своё согласие на обработку персональных данных: поставить подпись на бумаге или при помощи электронной цифровой подписи.
Во всех остальных случаях, если дело дойдёт до суда, владелец сайта никак не сможет подтвердить, кто именно нажимал кнопку «Я согласен». Остаётся только надеяться, что субъект, пришедший к вам на сайт, добровольно передаёт свои данные и жалобу не подаст.
Эксперты службы безопасности компании «Онланта»
Да, проверки могут быть от Роскомнадзора.
Ежегодно Роскомнадзор публикует перечень проверок выборочно из списка зарегистрированных операторов, если компания попала в перечень проверок, то следующая плановая проверка возможна не ранее чем через три года. Посмотреть, не попала ли ваша компания в список этого года, можно .
Проверки вне плана обычно вызваны жалобами. Если проверка внеплановая, вас о ней должны предупредить за сутки в письменном виде.
Также могут быть документарные проверки. При документарной проверке вам пришлют список документов, копии которых надо будет отправить в Роскомнадзор.
Иногда Роскомнадзор делает выездные проверки: инспекторы лично наносят визиты, чтобы проверить компанию на месте.
Подготовка к любой из этих проверок - трудоёмкое занятие. Будете ли вы решать задачу подготовки к проверке самостоятельно, или привлечёте внешних специалистов, для начала надо определить, кто в компании будет отвечать за соблюдение ФЗ-152.
За нарушение 152-ФЗ предусмотрена гражданская, уголовная, административная, и дисциплинарная ответственность.
Итак, Роскомнадзор провёл проверку, если он обнаружил несоответствия законодательству, он выдаст предписание следственному комитету провести разбирательство по факту нарушения закона «О персональных данных».
После этого прокуратура начнёт проверку, в ходе которой она может приостановить деятельность компании: изъять базу данных компании, в частности, компьютеры, на которых производилась обработка персональных данных.
Нарушителей закона прежде всего ждут штрафы. Размеры штрафов варьируются в зависимости от правонарушений. Так, за обработку персональных данных без письменного разрешения субъектов юридическим лицам придётся понести административную ответственность.
Даже если оператор готов заплатить штраф, а по меркам крупного бизнеса он не кажется огромным, правонарушителю всё равно придётся устранить несоответствие перед законом (например, удалить хранящиеся данные) и уведомить об этом Роскомнадзор.
Худший сценарий - это если Роскомнадзор решит отозвать лицензию компании, запретить бизнесу обработку персональных данных, а сайты, незаконно публикующие персональные данные граждан, подвергнуть блокировке.
За прошедшие несколько лет в России самый громкий скандал был связан с блокировкой сайта LinkedIn, владельцев которого обвинили в обработке персональных данных граждан без их согласия на серверах, находящихся за пределами РФ. Также «нашумела» сервиса autonum.info.
Организовать обработку персональных данных можно самостоятельно или с помощью компании, которая предоставляет подобную услугу.
Если решили обрабатывать персональные данные самостоятельно, потребуется:
На это уйдёт в лучшем случае три-четыре месяца, стоимость такого внедрения может составить 200-300 тысяч рублей - это стоимость покупки оборудования, лицензий. Трудозатраты и дальнейшая поддержка информационной системы - отдельная статья расходов. Также потребуется администратор, который будет контролировать работу системы.
Если говорить объективно, совсем маленькие компании просто не выполняют все требования закона в надежде, что проверки не будет. Возможно, её действительно не будет. Другие компании создают «потёмкинские деревни», лишь делая вид, что обрабатывают персональные данные в соответствии с требованиями законодательства, иными словами, «покупают» необходимые документы.
В следующем материале мы покажем, как посчитать стоимость обработки персональных данных внутри компании и расскажем, когда выгоднее заниматься обработкой персональных данных самим, а когда лучше отдать на хранение в «облаке».
Сейчас никакая деятельность не обходится без информации. В каждой организации хранятся сведения о работниках, партнерах, клиентах. Несанкционированный доступ к ним приводит к их потере или изменению, что отрицательно влияет на деятельность фирмы. Цели обработки персональных данных в организациях одинаковые, поскольку это закреплено законом. Об этом рассказано в статье.
Каждый человек может ознакомиться со сведениями о другом гражданине как при исполнении рабочих обязанностей, так и при нерабочем общении, при просмотре интернет-страниц, чтении газеты. Такой сбор информации не считается обработкой. Это просто ознакомление со сведениями.
Если же личная информация специально собирается для использования, хранения, то это будет обработка персональных данных. Этот процесс наблюдается в учебных заведениях, больницах. Сведения регистрируют, вносят в базы, классифицируют для использования в законных целях. Если информацию собирает писатель, журналист, то он может использовать ее для творческих целей.
Личные сведения обрабатывают 2 способами:
Второй вариант предполагает обработку, выполняемую с участием гражданина. Если это происходит без средств автоматизации, то данные нужно отделять от остальных сведений. Это выполняется с помощью отметки, например, на полях бланков. Запрещено размещать на единый носитель личную информацию, если известно, что цели обработки персональных данных несовместимы.
Если личные сведения граждан относят к разным категориям, то нужно для каждого вида использовать индивидуальный носитель. Какие системы можно отнести к автоматизированным, а какие не являются ими? Это раскрывают следующие факты:
Автоматизированная обработка выполняется с использованием вычислительных средств. Обработкой называют все действия, которые выполняются с предоставленными данными. В этот процесс входит сбор, фиксирование, использование, уничтожение.
Цели обработки персональных данных в организации одинаковые. Сведения нужны для:
Каждая цель обработки персональных данных в организации обязательна для исполнения, поскольку это закреплено законом. Именно поэтому во всех учреждениях необходимы сведения о работниках, клиентах, партнерах. Цели обработки персональных данных позволяют вести деятельность законным способом.
О своих сотрудниках руководитель должен получить следующую информацию:
При обработке информации работников специалисты кадрового отдела должны следовать нескольким правилам:
Цели обработки персональных данных по закону №152 обязательны для исполнения каждым работодателем. Исходя из ст. 22, руководитель может совершать действия с личными сведениями сотрудников без оповещения Роскомнадзора.
Важно знать не только цели сбора и обработки персональных данных, но и принципы. Они указаны в ст. 5 гл. 2 ФЗ №152:
Цели обработки персональных данных работника достигаются с помощью условий, указанных в ст. 6 гл. 2:
Есть несколько исключений, когда разрешение субъекта не требуется. Это происходит тогда, когда:
Чтобы защитить человека от нежелательного использования сведений о нем, требуется его согласие на обработку персональных данных. Цель обработки должна быть законной, а в остальных случаях это делать запрещено. Согласие предоставляется с устройством на работу, оформлением банковского счета и при других важных сделках.
Единой формы разрешения нет. Его составляют в свободной форме на бланке, используемом предприятием. Срок, на протяжении которого разрешение действует, обозначается в самом документе. Там же указываются цели обработки персональных данных в организации.
Специалиста, ответственного за получение, обработку, хранение личных сведений, назначает директор учреждения. Также он определяет лиц, которым открыт доступ к информации. Документ нужно оформить приказом. Обычно за обработку сведений отвечают:
Основываясь на ФЗ №152, работник, выполняющий сбор и обработку личных данных, является оператором. Им и является руководитель. Цели обработки персональных данных в образовательном учреждении такие же, как и в организациях.
Хранение документации с личной информацией о работниках осуществляется в огнеупорных шкафах или сейфах. Ключи от них должны быть у директора кадрового отдела. Если он отсутствует, то этим заведует заместитель. При необходимости передачи личных сведений работника кадровый сотрудник должен помнить о следующих правилах:
Исключением считаются обстоятельства, имеющие отношение к вопросу выполнения работниками своих обязанностей.
Если работниками нарушен порядок сбора, обработки, выдачи сведений, то они несут дисциплинарную и уголовную ответственность по закону. В ст. 5 ФЗ сказано, что личная информация, собираемая для обработки автоматизированными принципами или другими средствами, должна производиться в таком виде, чтобы можно было установить субъекта данных.
Определение субъекта не может быть длительнее, чем это требуется для обработки. Если она выполнена, то некоторое время персональные данные уничтожать нельзя. Персональные данные сотрудников хранятся в учреждении 75 лет. Таким образом, на каждом предприятии должны соблюдать правила хранения и обработки информации.
Поступая на работу, новый сотрудник предоставляет работодателю колоссальное количество личной информации. Частично это объясняется производственной необходимостью. Независимо от характера предоставляемых данных, они должны храниться должным образом и быть качественно защищены. Если этого не происходит и личная информация работников разглашается, то сотрудникам оказывается нанесен существенный ущерб (как их достоинству, так и личной безопасности). Поэтому важно подробнее рассмотреть понятие "персональные данные". Что к ним относится? Каким образом их необходимо хранить? Какие существуют методы защиты персональных данных? Кто регулирует процесс их хранения и обработки? Ответы на эти и некоторые другие вопросы будут предоставлены непосредственно в этой статье. Будьте максимально внимательны.
Разнообразные нормативно-правовые акты предоставляют различные определения понятия "персональные данные сотрудника". Для того чтобы понять, что именно подразумевается, необходимо соотнести их разнообразные положения. Их законодательным основанием является закон "О персональных данных" и ряд норм, содержащихся в Конституции Российской Федерации.
Итак, что можно сказать об информации, которую собирают у сотрудников предприятия? Такие работники становятся субъектами персональных данных. К такого рода информации относят следующие данные: Ф.И.О., данные о рождении, семейный статус, место жительства, общественный статус, информация об актуальных доходах, данные об образовании и так далее.
Эти данные относятся к типу информации с ограниченным доступом, ведь законодательно подтверждено, что никто не может подвергаться вмешательству в его личную жизнь. Это относится и к персональным данным.
Такая информация необходима для того, чтобы эффективно идентифицировать личность гражданина. А если речь идет о сотруднике, то персональные данные предоставляют сведения о нем как профессионале в определенной сфере деятельности. Поэтому логично, что к личной информации работника относятся только те сведения, которые имеют отношение к его профессиональному потенциалу и особенностями исполнения им его трудовых обязанностей.
Конституция Российской Федерации гарантирует гражданам конфиденциальность их личной жизни. И персональная информация имеет к ней прямое отношение. Это определено соответствующим Указом президента Российской Федерации, который утверждает конфиденциальный характер такого рода информации и закрепляет отсутствие доступа к ней для общественности.
В то же время Трудовой кодекс Российской Федерации предоставляет достаточно узкое определение рассматриваемого понятия. Он утверждает, что персональные данные сотрудника - это информация, которая необходима его руководителю в связи с исполнением его прямых профессиональных обязанностей и которая имеет отношение исключительно к определенному работнику.
Для чего нужно обрабатывать и хранить персональные данные? Они необходимы для того, чтобы правильным образом реализовывать трудовую активность предприятия.
Цели их обработки следующие:
Существует ряд методов защиты личной информации. Работники имеют полное право знать, как именно хранятся и используются их персональные данные. Ознакомить сотрудников с этой информацией - это обязанность руководителей. Факт уведомления работники подтверждают личной подписью.
То, какая именно личная информация о работниках должна быть собрана, определяется Трудовым кодексом, Конституцией Российской Федерации и рядом федеральных законов. Так, являются необходимыми два вида документов. Первый - бумаги, которые связаны с подачей трудового договора. Второй - документация, запрашиваемая или формируемая работодателем непосредственно.
Так, персональные данные классифицируются по следующим признакам:
Степень доступа
Направление
На какие типы подразделяются персональные данные? Что к ним относится?
Важно понимать, что вся информация, которая хранится на предприятии в отношении определенного сотрудника, может быть рассмотрена с двух разных точек зрения.
Руководитель предприятия обязан сформировать нормативно-правовой акт локального значения, который рассматривает порядок, определяющий хранение персональных данных. Он может быть представлен в разном виде. Например, им может являться Положение о персональных данных.
Итак, обсудим один из нюансов подробнее. Персональные данные: что к ним относится? Информация, содержащаяся в личных делах. Речь идет о следующем:
Итак, подведем итог, что подразумевает понятие персональные данные? Что к ним относится? Это личная информация о работнике, которая необходима работодателю для того, чтобы наиболее эффективно использовать потенциал и умения сотрудника. Последний, конечно же, должен дать свое согласие на обработку персональных данных. Если все формальности соблюдены, то информация останется максимально защищенной.
Важно учесть, что 152 ФЗ "О защите персональных данных" предусматривает только административную ответственность предприятия за разглашение персональных данных сотрудника. А значит, если организация не способна гарантировать работникам абсолютную защиту их личной информации, то ее ожидает только штраф. Причем суммы денежного наказания за неправильное хранение персональных данных абсолютно смешные. В общем, они колеблются от пяти до десяти тысяч рублей. Конечно, это так, если речь идет только об одиночных выплатах. Как правило, на предприятиях, где есть такого рода проблемы, нарушения множественные, а значит, и суммы штрафа существенно возрастают.
Однако денежные затраты - далеко не самое главное последствие того, что использование персональных данных происходит неправильным образом. Это сильно бьет по репутации компании. Ведь когда сотрудники дают свое согласие на обработку персональных данных, они рассчитывают, что их сохранность гарантирована. Если выясняется иное, такие кадры отказываются иметь дело с фирмой такого рода. Компания теряет возможность нанимать профессионалов.
В данном случае нас интересует 152 ФЗ "О защите персональных данных". Именно он является законодательной базой для реализации данной функции.
Обычно Роскомнадзор проверяет три основных направления рассматриваемой сферы:
Положение о персональных данных рекомендует Роскомнадзору проводить такого рода проверки как минимум трижды в год. Это правило действует, если речь идет о плановых проверках. Внеплановые же производятся по мере необходимости. Каковы могут быть для этого причины? Например, если плановый аудит осуществлялся достаточно давно. Или если потребуется удостовериться в том, что прошлые замечания были учтены и были внесены необходимые изменения.
На каждом предприятии обязательно должны быть разработанный специальные правила, регламентирующие то, как хранятся и используются персональные данные сотрудников. Существует несколько вариантов того, как именно описанный документ может быть оформлен. Это может быть как отдельное положение, так и раздел, включенный в локальные Правила внутреннего распорядка. Каждый сотрудник имеет право принимать участие в процессе разработки и проведения мероприятий по защите персональных данных. Именно поэтому всех работников необходимо тщательно ознакомить с описанным документом.
Потребуется составить перечень персональных данных и список сотрудников, а также сформировать шаблон документа. Его должны подписать все, кто работает на предприятии.
Существуют разные способы хранения данных. Некоторые не готовы переходить к электронным архивам, а значит, предпочитают вести дела традиционным образом (то есть на бумаге). Суть метода в том, чтобы хранить все данные о сотрудниках, его личные документы и копии в буквальной папке, которая называется личным делом.
Каковы преимущества такого типа ведения личных дел? Среди них выделяют следующие:
Однако такой метод имеет и некоторые минусы. Например, следующие:
Иногда отделы кадров предпочитают хранить информацию об одном сотруднике раздельно (в различных тематических папках). Так, отдельно хранятся все трудовые договоры, анкеты и прочие документы по всем работникам сразу. Их нумеруют для более удобного поиска. Этот способ менее трудозатратен, чем тот, что был описан выше, да и не требует никаких специальных навыков от сотрудника отдела кадров.
Тем не менее и он не лишен недостатков. Среди них выделяют следующие:
В описываемом случае отделы кадров предпочитают применять электронные базы данных и разнообразные информационные системы. Часто это гарантирует обеспечение безопасности персональных данных.
Каковы преимущества такого типа хранения информации? Далее будут перечислены основные из них:
Выделяют, конечно же, и некоторые минусы. Например, следующие:
Какие именно методы применяют для того, чтобы эффективно защитить персональную информацию сотрудников?
Учитывая наличие и недостатков, и преимуществ у каждого из методов, как правило, работодатели комбинируют их. Не имеет значения, какой именно способ хранения информации используется, работодатель, так или иначе, обязан получить согласие сотрудника на обработку его личной информации.
Персональные данные - конфиденциальная информация, которая может быть собрана работодателем с целью идентификации личности сотрудника, а также для определения уровня квалификации работника и его профессионального потенциала. Существует несколько способов хранения и обработки личной информации (она может быть зафиксирована на бумаге или электронных носителях, в зависимости от предпочтений сотрудников отдела кадров и возможностей предприятия). Защита персональных данных должна стать первоочередной задачей соответствующего отдела, так как это право сотрудника, которое гарантируется ему Конституцией Российской Федерации. Важно хорошо знать свои права, чтобы иметь возможность защитить себя в спорной ситуации.
